1. Responsable du traitement
Responsable : [identité juridique complète de l’exploitant du Château de Hac], [siège social]. Établissement : 4 Château du Hac, 22630 Le Quiou. Contact relatif aux données personnelles : administration@domainedehac.com. Délégué à la protection des données, s’il en est désigné un : [coordonnées].
2. Données concernées
Selon le service utilisé, le Château traite les catégories suivantes :
- identité et contact du réservant : nom, courriel et téléphone ;
- réservation : nombre de personnes, catégories tarifaires, créneaux demandés et retenus, langue, référence et historique des modifications ;
- besoins d’accueil volontairement signalés, sans demander de diagnostic ni de document médical ;
- paiement : montant, état, identifiant Stripe, quatre derniers chiffres et type de carte lorsque Stripe les restitue ;
- réservations saisies sur place et actions effectuées depuis l’interface de gestion professionnelle ;
- échanges avec le service client, demandes liées aux événements et justificatifs transmis à l’appui d’une annulation ;
- propositions artistiques : nom du groupe, contact, page Instagram, style, effectif, disponibilités et message libre ;
- messages publics éventuels du Cercle des Jeudis : pseudonyme, groupe et contenu ;
- contrôle du billet : référence, QR code, date et état du contrôle, sans copie systématique d’une pièce d’identité ;
- données techniques : adresse IP, journaux de sécurité, appareil, pages consultées et choix relatifs aux traceurs.
Il n’est pas demandé de nommer les enfants ni de fournir une pièce d’identité, un mot de passe, un IBAN ou un document de santé dans le formulaire libre. Les numéros complets de carte et cryptogrammes sont collectés directement par Stripe et ne transitent pas par le site du Château.
3. Finalités et bases juridiques
Les champs marqués comme obligatoires sont nécessaires pour traiter la demande ou conclure la réservation. À défaut, le Château ne pourra pas garantir le créneau ni envoyer la confirmation. Les champs facultatifs sont identifiés comme tels.
4. Programmation hivernale et décisions
Hors saison, les demandes liées à un événement ou à une ouverture particulière sont examinées par une personne en fonction de la disponibilité réelle des lieux. Le Château ne prévoit pas de décision produisant des effets juridiques fondée exclusivement sur un algorithme. Le refus d’une demande non payée n’entraîne aucun débit. Stripe peut appliquer ses propres contrôles de sécurité au paiement. Le client peut demander une intervention humaine au Château pour toute décision relevant effectivement de celui-ci ; les contrôles propres à Stripe relèvent de sa politique.
5. Destinataires et prestataires
Dans la limite de leurs missions, les données sont accessibles aux seules personnes habilitées de [exploitant] et aux prestataires nécessaires : [hébergeur et base de données], Stripe pour le paiement, [service d’envoi de courriels/SMS], Google Workspace pour l’agenda professionnel et [outil de mesure d’audience, uniquement s’il est activé]. L’agenda doit utiliser de préférence une référence de réservation et la taille du groupe, plutôt que le nom complet.
Chaque sous-traitant doit être encadré par un contrat conforme à l’article 28 du RGPD. Les lieux d’hébergement, sous-traitants ultérieurs et éventuels transferts hors de l’Espace économique européen seront indiqués ici : [inventaire et garanties de transfert à compléter après choix des services].
6. Durées de conservation proposées
Les durées ci-dessous sont un projet à confirmer dans le registre des traitements. À l’échéance, les données sont supprimées ou anonymisées ; les archives légales sont isolées et accessibles à un nombre restreint de personnes.
7. Cookies, contenus externes et mesure d’audience
Les traceurs strictement nécessaires à la sécurité, au panier, au paiement ou au choix de confidentialité peuvent être utilisés sans consentement. Les traceurs publicitaires, les pixels, les contenus Facebook/Instagram intégrés et les mesures d’audience non exemptées restent bloqués jusqu’au choix de l’utilisateur.
Le bandeau doit proposer « Tout accepter », « Tout refuser » et « Personnaliser » avec une simplicité équivalente. Aucun refus ne doit empêcher la réservation. Le choix peut être modifié à tout moment depuis le bouton permanent « Gérer les cookies ». La liste exacte des traceurs, responsables, finalités et durées sera publiée après un audit du site en production.
8. Communications
Les confirmations, rappels pratiques, réponses et alertes de modification sont des messages nécessaires à la demande ou au contrat. Ils ne doivent pas dissimuler de publicité. Une infolettre ou des offres nécessitent une case distincte non précochée lorsque le consentement est requis, et chaque message commercial comporte un moyen simple de se désinscrire. Accepter les conditions de réservation ne vaut pas inscription à une liste commerciale.
9. Sécurité
Les mesures prévues comprennent notamment : comptes professionnels nominatifs, double authentification, droits limités par rôle, chiffrement HTTPS, secrets hors du code, signatures des webhooks Stripe, contrôles de cohérence des réservations, sauvegardes testées et journalisation des actions sensibles. Les opérations d’administration sont authentifiées et tracées. Aucun mot de passe ne doit être partagé par messagerie.
Toute violation de données est documentée. Lorsqu’elle présente un risque pour les droits et libertés, elle est notifiée à la CNIL dans les meilleurs délais et, si possible, sous 72 heures. Les personnes concernées sont informées sans délai indu lorsqu’un risque élevé l’exige, sous réserve des exceptions du RGPD.
10. Vos droits
Selon la base juridique et les conditions prévues par le RGPD, vous disposez de droits d’accès, de rectification, d’effacement, de limitation, d’opposition et de portabilité. Vous pouvez retirer un consentement à tout moment, sans remettre en cause les traitements déjà réalisés licitement. Adressez votre demande à administration@domainedehac.com. Une preuve d’identité n’est demandée qu’en cas de doute raisonnable et de façon proportionnée. Le Château répond en principe dans un délai d’un mois.
Si vous estimez que vos droits ne sont pas respectés, vous pouvez introduire une réclamation auprès de la Commission nationale de l’informatique et des libertés (CNIL).
11. Mise à jour
La date et les changements substantiels de chaque version sont indiqués sur cette page. Lorsque la modification affecte une réservation existante, le client est informé par un moyen approprié ; la version acceptée lors de la commande reste archivée avec le dossier correspondant.